NIS 2 E CRITTOGRAFIA DEL DATO: COME PROTEGGERE LE INFORMAZIONI CRITICHE ED ESSERE COMPLIANT

La NIS2, recepita in Italia con il D.Lgs. 138/2024 (in vigore dal 16 ottobre 2024), si applica a soggetti essenziali e importanti nei settori critici: energia, trasporti, banche, infrastrutture finanziarie, sanità, acqua, telecomunicazioni, pubblica amministrazione, settore digitale. In linea generale rientrano le organizzazioni con più di 50 dipendenti o 10 milioni di euro di fatturato, ma alcune realtà più piccole sono incluse se ritenute critiche. Se sei fornitore di un soggetto NIS, puoi rientrare nel perimetro attraverso i requisiti di supply chain. Il whitepaper include i criteri completi per verificare la propria posizione.

Le sanzioni sono differenziate. I soggetti essenziali rischiano fino a 10 milioni di euro o il 2% del fatturato annuo globale (si applica il maggiore tra i due valori). Per i soggetti importanti il massimo è 7 milioni di euro o l'1,4% del fatturato. A questo si aggiungono conseguenze per il C-Level: la NIS2 prevede la possibilità di sospensione dalle funzioni dirigenziali. Queste sanzioni si applicano indipendentemente dal fatto di aver subito un attacco: ciò che conta è il livello di preparazione dimostrato.

La Determinazione 127437 dell'ACN ha spostato il baricentro dalla compliance formale alla resilienza dimostrabile. Prima era possibile descrivere le proprie misure; ora bisogna dimostrare con dati verificabili che funzionano. Tre novità operative: la sicurezza diventa misurabile, la supply chain entra al centro con l'obbligo di mappare fornitori e dipendenze critiche, la conformità si fonda su processi reali e monitoraggio continuo. Chi non aveva ancora avviato l'adeguamento ha meno margine di quanto pensi. Il whitepaper è stato aggiornato il 16 aprile 2026 per riflettere questa Determinazione. Per un approfondimento: ACN accelera sulla NIS2, ora la resilienza si misura.

La NIS2 e la Determinazione ACN richiedono di dimostrare chi ha avuto accesso a cosa, quando e da quale dispositivo. Non basta dichiararlo: serve poterlo mostrare con log esportabili e protetti da manomissione. Un audit trail efficace registra ogni interazione con i documenti – apertura, modifica, condivisione, download, accessi negati – e resta valido anche quando il file è già fuori dalla rete aziendale. FileGrant Enterprise genera automaticamente questo tracciamento su ogni documento protetto, integrandosi con i sistemi di monitoraggio esistenti per la notifica degli incidenti richiesta dalla NIS2 entro 24 ore.

Le scadenze di registrazione sul portale ACN sono già trascorse (17 gennaio 2025 per cloud, data center e servizi gestiti; 28 febbraio 2025 per gli altri soggetti). Dal 1° gennaio 2026 è attivo l'obbligo di notifica degli incidenti con aggiornamento annuale. Nel bimestre maggio-giugno 2026 i soggetti devono trasmettere l'elenco categorizzato di attività e servizi. La scadenza finale per completare l'implementazione delle misure di sicurezza – inclusa la sicurezza della supply chain – è ottobre 2026.

Il whitepaper "NIS2: la tua azienda è a rischio?" è un documento di 15 pagine, leggibile in 20-25 minuti, pensato per CEO, CFO, CISO e responsabili compliance. Copre: perimetro di applicazione, sanzioni differenziate per soggetti essenziali e importanti, obblighi di notifica, timeline italiana 2025–2026 con le scadenze ACN, dieci misure minime da implementare e come FileGrant Enterprise supporta quattro aree chiave della compliance. È aggiornato alla Determinazione ACN del 13 aprile 2026.